Које правило ASA види саобраћај након што га VPN дешифрује

Прва претпоставка од које треба одустати је да је крипто ACL политика приступа. Није. На Cisco ASA та листа одговара на једно уско питање: који пакети заслужују заштиту, а тај одговор не каже ништа о томе да ли дешифровани пакет може да стигне до сервера иза заштитног зида. Приступ се одлучује касније, политиком интерфејса, филтером групне политике или оба, зависно од тога како је тунел изграђен.

Крипто ACL одговара на друго питање

Крипто ACL је листа подударања. Она каже тунелу шта да шифрује између две стране; пакет који се с њом не подудара једноставно није заштићен. Њено проширење мења обим заштите и ништа друго.

Зато додавање подмреже тамо може да подигне тунел док сама апликација и даље не ради. Тунел је подигнут јер сада постоји подударање. Апликација и даље не ради јер ништа на тој листи ништа не дозвољава. Два различита питања, две различите листе.

Шта поставка заобилажења заиста прескаче

sysopt connection permit-vpn дозвољава заштићеном саобраћају да прескочи проверу ACL-а интерфејса која би иначе важила на улазној страни. То је погодност за распоређивања VPN-а и глобална је. Не дира групну политику и не дира филтер ауторизације по кориснику.

Читајте стварну вредност, а не претпоставку: show running-config all sysopt исписује поставку чак и када она никада није била експлицитно конфигурисана, и управо ту почиње много забуне.

Пошто је поставка глобална, тестирање као брз експеримент на једној подмрежи која не ради је лоша размена. Сваки други тунел на том заштитном зиду дели резултат. Сачувајте је за намерну промену са планом враћања.

Читајте филтер у смеру дешифровања

LAN-to-LAN vpn-filter се пише из угла тунела, а не интерфејса. Удаљена мрежа иде на место извора, а локална мрежа на место одредишта, јер тако пакет изгледа после дешифровања. Исти филтер се затим поново оцењује у супротном смеру пре шифровања, са замењеним улогама адреса.

Услови за портове заслужују више пажње од копираног ACL-а интерфејса управо због тога. Правило које дозвољава један одредишни порт може у обратном смеру имати нежељени ефекат, где нова веза користи тај порт као извор. Запишите која страна сме да започне, стварну услугу и супротну страну која мора да остане затворена пре него што изградите листу.

Потврдите који је филтер заиста прикачен: show running-config group-policy и show vpn-sessiondb detail l2l заједно кажу шта је сесија наследила. Уређивање ACL-а на који се ниједна политика не позива не мења ништа.

Не користите један ACL објекат за два посла

Интерфејсни access-group и vpn-filter изгледају као исти тип објекта и оцењују се у различитим тачкама са различитом оријентацијом адреса. Додељивање једне листе обема позива на промену која поправља тунел и тихо олабављује физички интерфејс.

Држите их одвојено, назовите их по њиховом послу и нека разлика у смеру буде видљива у називима.

Проверите новим везама, у оба смера

Након планиране промене отворите једну нову везу која треба да буде дозвољена и једну нову везу која треба да буде одбијена, затим запишите адресе, смер и подударање са политиком заједно са резултатом. Успостављена сесија ништа не доказује о филтрирању нових веза, јер је већ пропуштена по старим правилима.

Узмите у обзир и инспекцију. Документација произвођача наводи да VPN филтер проверава почетну везу, а не сваку секундарну везу коју отвори инспекциони мотор, па контролни канал и њему придружени медијски ток могу добити другачији третман. Ако апликација познаје протокол, тестирајте стварни ток уместо једне сонде на порту.

Тунел који постане употребљив после широког заобилажења каже да је ограничење уклоњено, а не да је испуњено. Резултат који вреди задржати је именована тачка спровођења на коју можете да покажете при следећем прегледу.